随着 Internet 不断发展，对安全和可靠的多 DNS 服务的需求也越来越大，尤其是服务在 Linux 平台的系统，因此，如何保障 Linux 下的安全和可靠的多 DNS 服务成为了很多系统管理员面临的问题。
针对这类情况，我们提供了一种在 Linux 平台下实现安全、可靠多 DNS 服务解决方案，具体实现步骤如下：
1.安装 Bind 服务和 DNS 软件：首先，我们需要在 Linux 系统上安装 Bind 和 DNS 软件，用于提供 DNS 服务，可以使用以下命令安装：
`sudo apt-get install bind9`
2.配置 服务器 地址：接下来，我们需要配置 DNS 服务器的 IP 地址，可以在`/etc/bind/named.conf.options`文件中将服务器的 IP 地址配置如下：
options {directory "/var/cache/bind";listen-on { 127.0.0.1; 10.3.3.1; };allow-recursion { 10.3.3.0/24; };};
3.配置需要解析的域名：接下来，我们需要配置我们需要解析的域名，这里我们新建一个名为“db.example.com”的文件，将要解析的域名配置，具体内容如下：
$TTL 3D// 默认资源记录TTL为3天@INSOAweb.example.com.root.web.example.com. (2011110401;Serial8H;Refresh2H;Retry4W;Expire1D );MinimumINNSweb.example.com.INNSmail.example.com.webINA10.3.3.2mailINA10.3.3.3ftpINA10.3.3.4www.webINCNAMEweb.example.com.
4.启动 DNS 服务：最后，我们可以使用以下命令启动 DNS 服务：
`sudo service bind9 start`
通过以上步骤，我们可以在 Linux 平台上运行安全和可靠的多 DNS 服务。在使用 Bind 来实现多 DNS 服务时，还需要有正确的安全设置和配置，以保证 DNS 服务持续、安全运行，且及时响应 DNS 请求。
香港服务器首选树叶云，2H2G首月10元开通。树叶云（shuyeidc.com）提供简单好用，价格厚道的香港/美国云服务器和独立服务器。IDC+ISP+ICP资质。ARIN和APNIC会员。成熟技术团队15年行业经验。
网络布局和具体实施
本人网络工程师职称，欢迎大家来空间访问~~分析如下：需要多部门，对应多VLAN且对应DHCP.1.一般，三层交换机上配置中继代理，可以实现。 但是，DHCP服务器将需要多张网卡，对应多个VLAN。 不是和合理~~所以，建议在三层交换机上配置DHCP服务器。 省去多网卡2.服务器的分布如下：LINUX防火墙、邮件 ，一台上DNS、WEB ，一台上DHCP ，三层交换上希望对你有所帮助~~~~~~~~~
如何保护DNS服务器？
DNS解析是Internet绝大多数应用的实际定址方式;它的出现完美的解决了企业服务与企业形象结合的问题，企业的DNS名称是Internet上的身份标识，是不可重覆的唯一标识资源，Internet的全球化使得DNS名称成为标识企业的最重要资源。
1.使用DNS转发器
DNS转发器是为其他DNS服务器完成DNS查询的DNS服务器。 使用DNS转发器的主要目的是减轻DNS处理的压力，把查询请求从DNS服务器转给转发器， 从DNS转发器潜在地更大DNS高速缓存中受益。
使用DNS转发器的另一个好处是它阻止了DNS服务器转发来自互联网DNS服务器的查询请求。 如果你的DNS服务器保存了你内部的域DNS资源记录的话， 这一点就非常重要。 不让内部DNS服务器进行递归查询并直接联系DNS服务器，而是让它使用转发器来处理未授权的请求。
2.使用只缓冲DNS服务器
只缓冲DNS服务器是针对为授权域名的。 它被用做递归查询或者使用转发器。 当只缓冲DNS服务器收到一个反馈，它把结果保存在高速缓存中，然后把 结果发送给向它提出DNS查询请求的系统。 随着时间推移，只缓冲DNS服务器可以收集大量的DNS反馈，这能极大地缩短它提供DNS响应的时间。
把只缓冲DNS服务器作为转发器使用，在你的管理控制下，可以提高组织安全性。 内部DNS服务器可以把只缓冲DNS服务器当作自己的转发器，只缓冲 DNS服务器代替你的内部DNS服务器完成递归查询。 使用你自己的只缓冲DNS服务器作为转发器能够提高安全性，因为你不需要依赖你的ISP的DNS服务 器作为转发器，在你不能确认ISP的DNS服务器安全性的情况下，更是如此。
3.使用DNS广告者(DNS advertisers)
DNS广告者是一台负责解析域中查询的DNS服务器。
除DNS区文件宿主的其他DNS服务器之外的DNS广告者设置，是DNS广告者只回答其授权的域名的查询。 这种DNS服务器不会对其他DNS服务器进行递归 查询。 这让用户不能使用你的公共DNS服务器来解析其他域名。 通过减少与运行一个公开DNS解析者相关的风险，包括缓存中毒，增加了安全。
4.使用DNS解析者
DNS解析者是一台可以完成递归查询的DNS服务器，它能够解析为授权的域名。 例如，你可能在内部网络上有一台DNS服务器，授权内部网络域名服务器。 当网络中的客户机使用这台DNS服务器去解析时，这台DNS服务器通过向其他DNS服务器查询来执行递归 以获得答案。
DNS服务器和DNS解析者之间的区别是DNS解析者是仅仅针对解析互联网主机名。 DNS解析者可以是未授权DNS域名的只缓存DNS服务器。 你可以让DNS 解析者仅对内部用户使用，你也可以让它仅为外部用户服务，这样你就不用在没有办法控制的外部设立DNS服务器了，从而提高了安全性。 当然，你也 可以让DNS解析者同时被内、外部用户使用。
5.保护DNS不受缓存污染
DNS缓存污染已经成了日益普遍的问题。 绝大部分DNS服务器都能够将DNS查询结果在答复给发出请求的主机之前，就保存在高速缓存中。 DNS高速缓存 能够极大地提高你组织内部的DNS查询性能。 问题是如果你的DNS服务器的高速缓存中被大量假的DNS信息“污染”了的话，用户就有可能被送到恶意站点 而不是他们原先想要访问的网站。
绝大部分DNS服务器都能够通过配置阻止缓存污染。 WindowsServer 2003 DNS服务器默认的配置状态就能够防止缓存污染。 如果你使用的是Windows 2000 DNS服务器，你可以配置它，打开DNS服务器的Properties对话框，然后点击“高级”表。 选择“防止缓存污染”选项，然后重新启动DNS服务器。
6.使DDNS只用安全连接
很多DNS服务器接受动态更新。 动态更新特性使这些DNS服务器能记录使用DHCP的主机的主机名和IP地址。 DDNS能够极大地减
轻DNS管理员的管理费用 ，否则管理员必须手工配置这些主机的DNS资源记录。
然而，如果未检测的DDNS更新，可能会带来很严重的安全问题。 一个恶意用户可以配置主机成为台文件服务器、Web服务器或者数据库服务器动态更新 的DNS主机记录，如果有人想连接到这些服务器就一定会被转移到其他的机器上。
你可以减少恶意DNS升级的风险，通过要求安全连接到DNS服务器执行动态升级。 这很容易做到，你只要配置你的DNS服务器使用活动目录综合区 (Active Directory Integrated Zones)并要求安全动态升级就可以实现。 这样一来，所有的域成员都能够安全地、动态更新他们的DNS信息。
7.禁用区域传输
区域传输发生在主DNS服务器和从DNS服务器之间。 主DNS服务器授权特定域名，并且带有可改写的DNS区域文件，在需要的时候可以对该文件进行更新 。 从DNS服务器从主力DNS服务器接收这些区域文件的只读拷贝。 从DNS服务器被用于提高来自内部或者互联网DNS查询响应性能。
然而，区域传输并不仅仅针对从DNS服务器。 任何一个能够发出DNS查询请求的人都可能引起DNS服务器配置改变，允许区域传输倾倒自己的区域数据 库文件。 恶意用户可以使用这些信息来侦察你组织内部的命名计划，并攻击关键服务架构。 你可以配置你的DNS服务器，禁止区域传输请求，或者仅允 许针对组织内特定服务器进行区域传输，以此来进行安全防范。
8.使用防火墙来控制DNS访问
防火墙可以用来控制谁可以连接到你的DNS服务器上。 对于那些仅仅响应内部用户查询请求的DNS服务器，应该设置防火墙的配置，阻止外部主机连接 这些DNS服务器。 对于用做只缓存转发器的DNS服务器，应该设置防火墙的配置，仅仅允许那些使用只缓存转发器的DNS服务器发来的查询请求。 防火墙策略设置的重要一点是阻止内部用户使用DNS协议连接外部DNS服务器。
9.在DNS注册表中建立访问控制
在基于Windows的DNS服务器中，你应该在DNS服务器相关的注册表中设置访问控制，这样只有那些需要访问的帐户才能够阅读或修改这些注册表设置。
HKLM\CurrentControlSet\Services\DNS键应该仅仅允许管理员和系统帐户访问，这些帐户应该拥有完全控制权限。
10.在DNS文件系统入口设置访问控制
在基于Windows的DNS服务器中，你应该在DNS服务器相关的文件系统入口设置访问控制，这样只有需要访问的帐户才能够阅读或修改这些文件。
怎么设置局域网
xp局域网设置和xp无法访问局域网的解决方案 相信很多人都有和笔者一样的经历，由WIN XP构成的网络所有设置和由WIN 2000构成的完全一样，但还是出现了根本不能访问的情况，笔者认为这主要是因为XP的安全设置和2000不一样所导致。 针对这个问题笔者在网上查了一些资料，并将各种网上提供的常见解决方法做了相应测试，现在整理介绍给大家，希望能对遇到此问题的网友有所帮助，并请高手继续指点。 部分内容摘自网络，请原谅不一一注明出处。 首先，这里不考虑物理联接和其它问题，只谈及策略问题。 此外，请安装相应的协议并正确的设置IP地址，同时尽量把计算机设置在一个工作组内且具有相同网段的IP地址。 其次，网上对于出现的问题描述较多，这里不再累述。 当共享和访问出现问题时请考虑以下的步骤：1.检查guest账户是否开启XP默认情况下不开启guest账户，因此些为了其他人能浏览你的计算机，请启用guest账户。 同时，为了安全请为guest设置密码或相应的权限。 当然，也可以为每一台机器设置一个用户名和密码以便计算机之间的互相访问。 2.检查是否拒绝Guest用户从网络访问本机当你开启了guest账户却还是根本不能访问时，请检查设置是否为拒绝guest从网络访问计算机，因为XP默认是不允许guest从网络登录的，所以即使开了guest也一样不能访问。 在开启了系统Guest用户的情况下解除对Guest账号的限制，点击“开始→运行”，在“运行”对话框中输入“”，打开组策略编辑器，依次选择“计算机配置→Windows设置→安全设置→本地策略→用户权利指派”，双击“拒绝从网络访问这台计算机”策略，删除里面的“GUEST”账号。 这样其他用户就能够用Guest账号通过网络访问使用Windows XP系统的计算机了。 3.改网络访问模式XP默认是把从网络登录的所有用户都按来宾账户处理的，因此即使管理员从网络登录也只具有来宾的权限，若遇到不能访问的情况，请尝试更改网络的访问模式。 打开组策略编辑器，依次选择“计算机配置→Windows设置→安全设置→本地策略→安全选项”，双击“网络访问：本地账号的共享和安全模式”策略，将默认设置“仅来宾—本地用户以来宾身份验证”，更改为“经典：本地用户以自己的身份验证”。 这样即使不开启guest，你也可以通过输入本地的账户和密码来登录你要访问的计算机，本地的账户和密码为你要访问的计算机内已经的账户和密码。 若访问网络时需要账户和密码，可以通过输入你要访问的计算机内已经的账户和密码来登录。 若不对访问模式进行更改，也许你连输入用户名和密码都办不到，//computername/guest为灰色不可用。 即使密码为空，在不开启guest的情况下，你也不可能点确定登录。 改成经典模式，最低限度可以达到像2000里没有开启guest账户情况时一样，可以输入用户名和密码来登录你要进入的计算机。 也许你还会遇到一种特殊的情况，请看接下来的。 4.一个值得注意的问题我们可能还会遇到另外一个问题，即当用户的口令为空时，即使你做了上述的所有的更改还是不能进行登录，访问还是会被拒绝。 这是因为，在系统“安全选项”中有“账户：使用空白密码的本地账户只允许进行控制台登录”策略默认是启用的，根据Windows XP安全策略中拒绝优先的原则，密码为空的用户通过网络访问使用Windows XP的计算机时便会被禁止。 我们只要将这个策略停用即可解决问题。 在安全选项中，找到“使用空白密码的本地账户只允许进行控制台登录”项，停用就可以，否则即使开了guest并改成经典模式还是不能登录。 经过以上的更改基本就可以访问了，你可以尝试选择一种适合你的方法。 下面在再补充点其它可能会遇到的问题。 5.网络邻居不能看到计算机可能经常不能在网络邻居中看到你要访问的计算机，除非你知道计算机的名字或者IP地址，通过搜索或者直接输入//computername或//IP。 请按下面的操作解决：启动“计算机浏览器”服务。 “计算机浏览器服务”在网络上维护一个计算机更新列表，并将此列表提供给指定为浏览器的计算机。 如果停止了此服务，则既不更新也不维护该列表。 137/UDP--NetBIOS名称服务器，网络基本输入/输出系统(NetBIOS)名称服务器(NBNS)协议是TCP/IP上的NetBIOS(NetBT)协议族的一部分，它在基于NetBIOS名称访问的网络上提供主机名和地址映射方法。 138/UDP--NetBIOS数据报，NetBIOS数据报是TCP/IP上的NetBIOS(NetBT)协议族的一部分，它用于网络登录和浏览。 139/TCP--NetBIOS会话服务，NetBIOS会话服务是TCP/IP上的NetBIOS(NetBT)协议族的一部分，它用于服务器消息块(SMB)、文件共享和打印。 请设置防火墙开启相应的端口。 一般只要在防火墙中允许文件夹和打印机共享服务就可以了。 6.关于共享模式对共享XP默认只给予来宾权限或选择允许用户更改“我的文件”。 Windows 2000操作系统中用户在设置文件夹的共享属性时操作非常简便，只需用鼠标右击该文件夹并选择属性，就可以看到共享设置标签。 而在Windows XP系统设置文件夹共享时则比较复杂，用户无法通过上述操作看到共享设置标签。 具体的修改方法如下：打开“我的电脑”中的“工具”，选择“文件夹属性”，调出“查看”标签，在“高级设置”部分滚动至最底部将“简单文件共享(推荐)”前面的选择取消，另外如果选项栏里还有“Mickey Mouse”项也将其选择取消。 这样修改后用户就可以象使用Windows 2000一样对文件夹属性进行方便修改了。 7.关于用网络邻居访问不响应或者反应慢的问题在WinXP和Win2000中浏览网上邻居时系统默认会延迟30秒，Windows将使用这段时间去搜寻远程计算机是否有指定的计划任务（甚至有可能到Internet中搜寻）。 如果搜寻时网络时没有反应便会陷入无限制的等待，那么10多分钟的延迟甚至报错就不足为奇了。 下面是具体的解决方法。 A.关掉WinXP的计划任务服务（Task Scheduler）可以到“控制面板/管理工具/服务”中打开“Task Scheduler”的属性对话框，单击“停止”按钮停止该项服务，再将启动类型设为“手动”，这样下次启动时便不会自动启动该项服务了。 B.删除注册表中的两个子键到注册表中找到主键“HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerRemoteComputerNameSpace”删除下面的两个子健：和。 其中，第一个子健决定网上邻居是否要搜索网上的打印机（甚至要到Internet中去搜寻），如果网络中没有共享的打印机便可删除此键。 第二个子健则决定是否需要查找指定的计划任务，这是网上邻居很慢的罪魁祸首，必须将此子健删除。 总结不能访问主要是由于XP默认不开启guest，而且即使开了guest，XP默认是不允许guest从网络访问计算机的。 还有就是那个值得注意的问题。 相信一些不考虑安全的地方或是电脑公司给人做系统密码都是空的，但这样是不允许登录的。 只要试过以上的方法，相信是不会再有问题的。
发表评论